Manglende escaping av spesialtegn

[Trondster]

https://www.diskusjon.no/index.php?showtopic=1358477&st=0#entry18017878

 

Mye manglende escaping av spesialtegn - gjør at man kan sette inn fientligsinnet javascript med mer.

 

BørSkal rettes.

[Bolson]

Ikke bare skal! Hos oss ville et demonettsted bli tatt av lufta om vi fant manglende escaping som kunne gjøre det mulig med farlig kode til feilene var rettet og koden verifisert. I alle fall på en deom som er såpass offentlig.

[Terje]

Takk for tipset, rettet! Kjørte strip_tags på alle felter i opplastingsprosessen (derfor "<" forsvant), men gikk over til htmlspecialchars og urlencode nå